PHP2Shell致命漏洞波及全球，多国银行与航司紧急停服修补

10 月 22 日，因紧急修复被统称为“PHP2Shell”的两个严重安全漏洞，全球多家银行、航空公司与政府机构临时关停网站和服务。PHP 是支撑全球大部分网络应用运行的底层编程语言。

Cloudflare 首席执行官马修·普林斯（Matthew Prince）表示，在漏洞细节公开前的 10 小时内，公司已监测到数千次利用攻击；据 BBC 报道，攻击次数在两小时内激增至数十万次，随后更攀升至数百万次。截至目前，暂未发现攻击得手案例。

相关漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，CVSS 严重性评分均为 9.2 分（满分 10 分）。攻击者无需登录验证，即可在目标服务器上远程执行恶意代码。漏洞影响深远，波及早至 PHP 5.4 的旧版本。PHP 官方已在 8.5.12、8.4.27、8.3.36 和 8.2.35 版本中提供了修复补丁。

漏洞泄露迫使官方提前发布补丁

修复补丁原计划于 10 月 22 日统一发布，但相关细节在 10 月 20 日遭到泄露，迫使 PHP 官方提前一天推出修复程序。PHP 基金会透露，网络安全机构 Calif 的研究人员曾“误发布了一段演示漏洞利用方法的视频”，虽然视频随后被删除，但已在黑客社区广泛流传。

亚马逊表示，旗下 MadPot 威胁感应网络在漏洞公开前就捕获到了利用尝试，目前尚不清楚攻击者如何提前获知漏洞信息。美国国家安全局（NSA）建议无法立即完成更新的机构先将系统下线，新加坡、英国、澳大利亚、加拿大和欧盟的监管机构也发布了类似预警。

停服波及日本与欧洲多国机构

据彭博社报道，受漏洞修补影响，日本瑞穗银行暂停了部分银行和证券服务，静冈银行临时关闭了网站与移动端 App，全日空（ANA）也暂时禁用了 Apple 钱包登机牌服务。

在欧洲，法国电信运营商 Orange 暂停了部分网站以部署补丁；英国预算责任办公室（OBR）、苏格兰国民保健服务系统（NHS Scotland）以及 BBC 的部分节目页面也均出现临时无法访问的情况。

AI 在漏洞挖掘中扮演关键角色

本次漏洞的挖掘过程显著借助了前沿 AI 工具。Calif 研究团队通过 OpenAI 的“修补地球”（Patch the Planet）项目，利用 GPT-5.6 Sol 发现了这些漏洞。谷歌旗下的 Wiz 安全团队也使用 Gemini 4 Argon 和 GPT-5.6 Sol 独立找到了同一漏洞。此外，PHP 基金会早前还曾使用 Anthropic 的 Claude Mythos 对代码库进行过安全扫描。

参与漏洞挖掘的 Calif 研究员瑞恩·奥斯汀（Ryan Austin）将其称为“个人职业生涯中发现的最严重漏洞”，但他同时补充道，从现有监测来看，漏洞尚未出现大规模的实质性失陷扩散。